'안전한 소개팅' 강조하던 데이팅 앱, 개인정보 유출사고 발생

숙박·명품쇼핑 등에서 발생한 사례와 같은 유형 공격이라고 공지

다만, 언급한 사례 모두 관리자 부주의로 발생

사용자는 비밀번호 변경과 2단계 인증 적용 등 추가 보안조치 필요

데이팅 앱 골드스푼 소개 화면 [사진=구글플레이 제공]

온라인상으로 연인을 찾을 수 있도록 중개하는 서비스 '골드스푼'에서 개인정보 유출 사고가 발생해 사용자 주의가 필요하다. 데이팅 앱 골드스푼은 지난 12일 공지를 통해 '사이버공격으로 인한 피해가 발생한 것으로 추정하고 있으며, 필요한 조치는 완료한 상태다. 피해가 발생한 경우 담당 부서를 통해 안내하겠다'고 밝혔다. 현재 해당 서비스 공식 홈페이지는 작동하지 않고 있다.

골드스푼에 따르면 유출된 정보는 ID, 이름, 생년월일, 전화번호, '앱 내 제출자료' 등이다. 해당 서비스는 '골드스푼(금수저)'이라는 이름처럼 경제적으로 엄선된 미혼남녀를 연결하는 커뮤니티라고 강조하며, 직업이나 지역 등을 프로필에 소개했다. 또한 가입 시 근로소득원천징수영수증 등의 추가자료를 요청해 경제력을 검증했다. 이러한 '앱 내 제출자료'는 개인의 민감한 금융정보와 직접적으로 연결될 수 있는 만큼, 2차 피해 우려 역시 여전히 남아 있다. 충분한 경제력을 갖춘 사용자의 정보를 유출했기 때문에 사이버공격자 입장에서 더 많은 수익을 낼 수 있는 공격 대상을 쉽게 찾을 수 있는 셈이다. 개인정보를 이용해 각종 금융기관을 사칭해 피싱을 시도할 수 있으며, 이들을 사칭해 지인을 대상으로 전자금융사기를 시도할 수도 있다. 특히 업체가 ID와 비밀번호를 암호화해 보관하더라도, 레인보우 테이블 등 해시값을 복원하는 데이터를 이용하면 원래 정보로 복호화하는 것 역시 가능하다.

골드스푼은 공지를 통해 이번 사고는 최근 발생한 AWS 관련 사이버공격과 동일한 방식으로 공격이 이뤄졌다고 밝혔다. 다만 최근 개인정보위가 발표한 자료에 따르면, 야놀자, 스타일쉐어, 집꾸미기, 스퀘어랩 등에서 발생한 유사 사례는 클라우드 서비스 관리자 접근권한을 IP로 제한하지 않아 발생한 사고로, 관리자 부주의로 인한 유출 사례다. 때문에 이번 골드스푼 사고 역시 관리자의 클라우드 보안 설정 부주의로 인해 발생한 것으로 볼 수 있다.

가입자는 추가적인 피해를 예방하기 위해서 동일한 비밀번호를 이용하는 타 서비스의 비밀번호를 변경하고, 2단계 인증을 적용해야 한다. 골드스푼의 경우 ID를 이메일 주소로 사용하며, 많은 사용자가 여러 서비스에 동일한 비밀번호를 적용한다. 때문에 네이버, 구글, 애플, 카카오(다음) 등의 이메일을 ID로 사용했다면 비밀번호를 변경하는 것이 좋다. 뿐만 아니라 이름이나 전화번호 등의 정보를 이용한 금융기관 사칭 피싱도 발생할 수 있어, 수신한 이메일의 발신자를 확인하고 의심스러운 링크를 클릭하지 않는 등 주의가 필요하다.